Filtració de dades a Discord a través d'un proveïdor de suport

Un ciberatac contra un proveïdor extern de suport ha provocat la exposició de dades vinculades a usuaris que es van comunicar amb l'atenció al client i l'equip de Confiança i Seguretat de Discord. Els intrusos van accedir a informació enviada a aquests canals i van intentar extorsionar amb la publicació del robat.

La plataforma confirma que la seva infraestructura principal no va ser vulnerada i que labast se circumscriu a les interaccions amb el servei de suport. L'empresa ha iniciat una investigació forense, està avisant els afectats i ha reforçat controls sobre tercers per evitar incidents similars.

L'incident i l'abast

Segons la companyia, el accés il·lícit es va produir el 20 de setembre i la notificació individual va començar els dies posteriors. Discord assenyala que l'impacte afecta un nombre limitat de persones que prèviament van obrir tiquets o van contactar amb equips de Trust & Safety.

El punt dentrada no va ser un servidor de la plataforma sinó loperador extern que gestiona part de latenció al client. Aquest episodi evidencia com un servei amb bons estàndards es pot veure debilitat per una baula de la cadena de subministrament digital, on el control i el monitoratge són més complexos.

La companyia recalca que no hi ha indicis d'intrusió als sistemes interns ni als continguts de servidors i canals fora de l'àmbit de suport. L'accedit correspon a missatges, adjunts i metadades enviades a assistència, cosa habitual quan es tramiten consultes, queixes o verificacions.

Quines dades van quedar exposades

D'acord amb la informació compartida per l'empresa, els camps que es van poder veure compromesos abasten dades de contacte, activitat lligada a tiquets i detalls de pagament parcials. En casos concrets, també s'haurien exposat imatges de documents d'identitat utilitzats per a la verificació d'edat.

• noms i nom d'usuari de Discord.
• Adreces de correu electrònic i altres dades de contacte.
• adreces IP associades a les comunicacions.
• Missatges i adjunts remesos al suport oa l'equip de Trust & Safety.
• Informació de pagament limitada: tipus de mètode i últims 4 dígits de la targeta, a més de historial de compres.
• Un nombre reduït de imatges de documents d'identitat (p. ex., carnet de conduir o passaport) per a apel·lacions de verificació d'edat a Discord.
• material corporatiu intern, com a presentacions o continguts de formació.

Discord subratlla que no s'han filtrat contrasenyes, tokens d'autenticació ni números complets de targetes, i que els missatges privats fora del suport no formen part de l'incident.

Resposta de Discord i mesures adoptades

Com a acció immediata, la companyia va revocar l'accés del proveïdor compromès, va aïllar els sistemes afectats i va desplegar una investigació al costat d'especialistes externs en ciberseguretat.

La comunicació amb els possibles afectats es realitza per correu des de l'adreça [protegit per correu electrònic]. La plataforma recalca que no contacta per telèfon respecte a aquest assumpte i demana ignorar missatges o trucades sospitoses que s'aprofitin de la situació.

A més, Discord ha informat les autoritats competents i està reforçant auditories i controls sobre tercers, amb un focus especial en detecció d'amenaces, gestió d'accessos i retenció mínima de dades en proveïdors.

Riscos i consells per a usuaris

Amb la informació obtinguda, els atacants podrien intentar phishing, enginyeria social o suplantació de la marca per demanar dades addicionals o distribuir enllaços maliciosos. Aquest risc és més gran quan existeixen comunicacions prèvies amb suport que permeten missatges molt versemblants.

Tot i que Discord indica que no cal restablir la contrasenya per aquest incident, resulta prudent elevar la protecció del compte i extremar la vigilància davant de qualsevol contacte inesperat.

• Activa i comprova la autenticació en dos passos (preferentment amb app de codis).
• Sospita de correus o DMs que demanin dades; verifica que qualsevol avís procedeixi de [protegit per correu electrònic].
• revisa les teves moviments de pagament si utilitzes Nitro o altres serveis; configura alertes dactivitat.
• Si reutilitzes contrasenyes, planteja't canviar-les i utilitzar un gestor de contrasenyes per a credencials úniques i robustes.
• Evita reenviar o tornar a carregar documents d'identitat fora de canals oficials i xifrats.

Si heu rebut el correu de notificació, aquí es detalla quins tipus de dades es van veure afectats en el teu cas. En absència d'avís, és recomanable mantenir-se atent igualment i no interactuar amb enllaços o fitxers no sol·licitats.

El cas posa en relleu que la seguretat d'una plataforma també depèn dels seus socis: un tercer vulnerable pot convertir-se en la drecera per atacar tota una comunitat. La reacció de Discord ha estat ràpida i transparent, però la prioritat ara és minimitzar el risc d'abusos derivats de la informació exposada.